Sur un contrat cyber, ce qui départage deux offres est la rapidité de la réponse à incident, puis la franchise appliquée à la perte d'exploitation. Les déclarations de sécurité faites à la souscription décident du reste.
Aucun assureur suivi sur ce site ne publie d'offre cyber documentée : cette page ne classe donc pas des compagnies, elle classe ce que vous pouvez vérifier avant de signer.
Sur un contrat cyber, le document qui décide n'est pas le tableau des garanties : c'est le questionnaire de souscription. Les réponses que vous y donnez sur vos sauvegardes, votre authentification et vos mises à jour sont des déclarations sur lesquelles l'assureur fonde son tarif et son périmètre, et que le contrat peut ériger en conditions de garantie. Elles seront relues après l'incident, ligne à ligne.
Une seconde règle change la donne depuis 2023, et elle ne dépend d'aucun assureur : pour un professionnel, l'indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données suppose une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1 du code des assurances). Beaucoup de pages présentent cette règle comme propre aux rançons. Elle ne l'est pas.
Reste le périmètre de cette page. Nous ne publions pas de palmarès de compagnies cyber, faute de panel suivi sur ce produit. Ce qui suit est une méthode : ce qu'il faut vérifier chez vous, puis dans le contrat, et dans quel ordre.
La meilleure assurance cyber pour une TPE ou une PME est celle dont vous pouvez tenir les déclarations de sécurité et dont la cellule de crise intervient vite. La franchise en heures sur la perte d'exploitation décide ensuite de ce qui est réellement versé. Depuis la loi du 24 janvier 2023, toute indemnisation des pertes causées par une cyberattaque est subordonnée à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1 du code des assurances), et pas seulement la prise en charge d'une rançon.
Ce qui décide de la note sur ce produit
Le critère dominant est la réponse à incident et la franchise sur la perte d'exploitation. Ce qui sauve une entreprise après une attaque, c'est la vitesse de remise en route. Une franchise exprimée en heures trop longues laisse par ailleurs sans indemnisation les incidents les plus courants, ceux qui immobilisent une matinée.
Critère
Poids
Pourquoi ce poids
Activités et périmètre couverts
40 %
Hors des activités déclarées, il n'y a aucune garantie : rien ne rattrape ce point.
Lisibilité contractuelle
25 %
Mode de déclenchement, garantie subséquente, plafonds par sinistre et par an.
Gestion des sinistres
20 %
Réactivité face à une réclamation ou à une mise en demeure.
Service client
10 %
Interlocuteur technique capable de lire un contrat avec vous.
Rapport prime / couverture
5 %
Dernier critère : une prime basse sur un périmètre faux ne vaut rien.
Cette pondération est celle de la famille des risques professionnels, partagée avec la responsabilité civile professionnelle et la multirisque. Elle se lit donc en la traduisant : « activités et périmètre couverts » désigne ici les systèmes, les données et les prestations listés au contrat, et non une liste de métiers.
Le libellé « garantie subséquente » appartient aux contrats de responsabilité en base réclamation régis par l'article L124-5 du code des assurances. Sur un contrat cyber, l'équivalent pratique est ailleurs : la franchise en heures et la période sur laquelle la perte d'exploitation continue d'être indemnisée après le rétablissement des systèmes. Lisez ces deux lignes à la place.
Le top affiché ne classe pas des assureurs cyber
Les compagnies ci-dessous sont les généralistes suivies sur le site. Aucune ne déclare le risque cyber dans son catalogue, et nos fiches décrivent d'ailleurs plusieurs d'entre elles comme peu présentes sur les risques d'entreprise. Un podium construit sur ces noms n'aurait aucun rapport avec le sujet de la page.
L'ordre d'affichage est un choix de présentation de la rédaction, il ne résulte ni d'un calcul ni d'un tri par note, et les notes portées sur ces fiches concernent l'activité générale des compagnies. Le marché cyber des TPE et des PME se travaille surtout avec des assureurs spécialisés et des intermédiaires, que nous ne suivons pas. Pour le produit lui-même, voyez la page dédiée.
Mutuelle créée par des instituteurs, la MAIF s'est ouverte à tous mais garde son fonctionnement d'origine : des conseillers salariés, un sociétariat qui vote. Elle a adopté le statut de société à mission en 2020.
Des conseillers salariés, non commissionnés sur la vente
Le statut de société à mission, avec des engagements inscrits dans les statuts
Limite : Un positionnement assumé sur le service plutôt que sur le prix d'appel
Mutuelle née de l'assurance des artisans et des commerçants, la MAAF s'est ouverte à tous les profils sans lâcher son réseau d'agences. Elle fait partie du groupe Covéa, aux côtés de MMA et de la GMF.
Un héritage artisan qui se voit encore sur les contrats des petits pros
Trois canaux réellement équivalents : agence, téléphone, espace en ligne
Limite : Un catalogue d'options qui alourdit vite la formule de base
Mutuelle fondée par des commerçants et des industriels, la MACIF vend en direct depuis ses points d'accueil et son site, sans agent commissionné. Elle pilote aujourd'hui le groupe Aéma, qui réunit aussi Aésio et Abeille Assurances.
Une vente en direct, sans commission d'intermédiaire dans le prix
Une logique de contrat unique par besoin, peu de sur-mesure à négocier
Limite : Une grille de garanties peu modulable, à prendre ou à laisser
Créée par des fonctionnaires pour des fonctionnaires, la GMF reste centrée sur les agents du service public et leurs familles, même si elle assure tout le monde. Elle appartient au groupe Covéa, avec MAAF et MMA.
Un ciblage clair sur les agents publics et leurs proches
Des services liés au statut, protection juridique et assistance en tête
Limite : Les avantages les plus nets restent liés au statut d'agent public
Mutuelle fondée par des enseignants, la MGEN gère la complémentaire et, par délégation, une partie du régime obligatoire des personnels de l'Éducation nationale. Elle appartient au groupe VYV et exploite ses propres établissements de santé.
Un guichet unique régime obligatoire et complémentaire pour les personnels de l'Éducation
Des établissements de santé en propre au sein du groupe VYV
Limite : Un intérêt étroitement lié au fait de relever de la fonction publique
4.2/5
Le classement que nous assumons : vos défenses, dans l’ordre
Voici l'ordre dans lequel nous procéderions, du plus décisif au moins décisif. Il ne cite aucune marque, et chaque ligne se vérifie avec des personnes que vous connaissez déjà : votre prestataire informatique, votre comptable, vous.
1. Des sauvegardes restaurées, pas seulement faites
Une sauvegarde jamais restaurée est une hypothèse, pas une protection. Ce qui compte : la fréquence, l'existence d'une copie déconnectée du réseau, et la date du dernier test de restauration complet.
Qui le vérifie : votre prestataire, sur demande écrite, avec un compte rendu daté. Lien avec le contrat : c'est la première question du questionnaire de souscription, et la première pièce que l'assureur relira.
2. L'authentification renforcée sur la messagerie et les accès distants
La messagerie et les accès à distance sont un point d'entrée fréquent, et c'est une opinion de rédaction plus qu'une statistique : nous n'avons pas de source publique française qui chiffre cette part pour les petites structures, et nous préférons ne pas en inventer une.
Ce qui compte : l'authentification multifacteur activée pour tous les comptes, y compris les comptes à privilèges et les prestataires. Lien avec le contrat : c'est souvent la mesure que l'assureur érige en condition explicite.
3. L'inventaire de ce qui ne peut pas s'arrêter
Listez ce que votre activité ne peut pas suspendre plus de quelques heures : logiciel métier, caisse, plateforme de commande, accès aux dossiers clients, téléphonie.
Cette liste ne sert pas seulement à la sécurité. Elle donne directement la franchise en heures dont vous avez besoin, donc le seul chiffre qui rendra la garantie perte d'exploitation utile ou décorative.
4. La dépendance à un prestataire informatique unique
Si une seule société détient les accès, héberge les données et administre les postes, votre risque est concentré sur son propre niveau de sécurité et sur sa disponibilité un lundi matin.
Ce qui compte : ce que son contrat prévoit en cas d'incident, avec quel délai d'intervention et quelle astreinte. Demandez-le par écrit, avant de comparer des assureurs.
5. La cellule de crise de l'assureur
Une entreprise de dix personnes n'a pas d'équipe de réponse à incident. Le délai entre la découverte du chiffrement et la première action technique décide de l'ampleur des dégâts.
Questions à poser : qui intervient, sous quel délai d'engagement, en quelle langue, et cette équipe appartient-elle à l'assureur ou à un prestataire tiers ? Une astreinte joignable en continu vaut davantage qu'un plafond supérieur.
6. La franchise en heures et la période d'indemnisation
Sur la perte d'exploitation, la franchise s'exprime en heures d'interruption, pas en euros. En dessous du seuil, rien n'est dû.
Deux vérifications : à partir de quand court le compteur, découverte de l'incident ou arrêt effectif de l'activité, et sur quelle durée l'indemnisation se poursuit après le rétablissement des systèmes, puisque le retour à la normale est progressif.
7. Les plafonds par sinistre et par année
Rapportez-les à votre chiffre d'affaires et à votre marge, pas à la cotisation. Un plafond annuel global se consomme vite quand un même incident produit des frais de réponse, une perte d'exploitation et des frais de notification.
Vérifiez aussi les sous-plafonds par garantie, qui sont la vraie limite dans la plupart des contrats.
8. La cotisation, en dernier
Elle n'arrive qu'ici, et ce n'est pas une posture. Sur ce produit, l'écart de prix entre deux contrats pèse moins que l'écart de délai d'intervention et de franchise en heures.
Comparez à garanties strictement équivalentes, ou ne comparez pas.
Rang
Ce qu’on vérifie
Qui le vérifie
Ligne du contrat concernée
1
Restauration de sauvegarde testée et datée
Prestataire informatique
Questionnaire de souscription
2
Authentification multifacteur, comptes à privilèges compris
Si votre entreprise n'a ni sauvegarde restaurée avec succès, ni authentification renforcée sur la messagerie et les accès distants, aucun contrat ne vous protégera utilement : vous ne pourrez pas remplir le questionnaire de souscription de bonne foi, et les déclarations que vous y ferez seront relues après l'incident. Commencez par ces deux chantiers, souscrivez ensuite. C'est moins agréable qu'un comparatif, et nettement plus efficace.
Le critère décisif n'est pas le rang affiché. C'est l'écart entre ce que vous déclarez savoir faire et ce que vos systèmes font réellement.
Le questionnaire de souscription engage l'entreprise
Le questionnaire n'est pas une formalité commerciale. C'est la pièce sur laquelle l'assureur construit son tarif et son périmètre, et la première qu'il relira après un incident.
Les questions portent sur des points vérifiables après coup : existence et fréquence des sauvegardes, copie déconnectée du réseau, restauration testée, authentification multifacteur sur les accès distants et sur la messagerie, mise à jour des systèmes, gestion des comptes à privilèges, sensibilisation des équipes, plan de continuité.
Le droit tire des conséquences précises d'une réponse inexacte, et la nuance compte. L'article L113-8 du code des assurances prononce la nullité du contrat en cas de réticence ou de fausse déclaration intentionnelle, mais seulement lorsqu'elle change l'objet du risque ou en diminue l'opinion pour l'assureur ; les primes payées lui restent alors acquises. L'article L113-9 vise l'omission ou la déclaration inexacte de bonne foi : découverte après le sinistre, elle conduit à une réduction de l'indemnité dans la proportion des primes payées par rapport à celles qui auraient dû l'être.
Autrement dit, une case cochée trop vite se paie une fois, au pire moment. Faites remplir ce questionnaire par la personne qui administre réellement le système d'information, pas par celle qui signe le contrat.
Trois blocs dans un contrat cyber
Un contrat cyber assemble trois choses de nature différente, et les brochures les mélangent volontiers.
Les services d'abord : cellule de crise joignable en continu, intervention technique pour identifier et contenir l'attaque, analyse forensique, accompagnement juridique, communication de crise. Ce bloc agit dans les premières heures, et il décide du coût final.
Les dommages propres ensuite : reconstitution des données, remise en état des systèmes, perte d'exploitation consécutive à l'interruption, frais supplémentaires d'exploitation, parfois fraude aux virements selon la rédaction du contrat.
La responsabilité enfin : les conséquences pécuniaires des dommages causés aux tiers, clients, partenaires ou personnes dont les données ont été exposées, ainsi que les frais de défense.
Pour une petite structure, le premier bloc pèse plus que les deux autres. Comparez donc les modalités d'intervention avant les plafonds : engagement de délai, disponibilité réelle, langue de travail, et identité de celui qui exécute la prestation.
La franchise en heures
Le problème est simple à poser. Une attaque immobilise une PME pendant une journée ; le contrat prévoit une franchise de vingt-quatre heures sur la perte d'exploitation ; l'entreprise ne perçoit rien, alors qu'elle a perdu une journée de chiffre d'affaires et payé ses salariés.
La solution ne consiste pas à chercher la franchise la plus courte du marché, mais à la caler sur l'inventaire établi plus haut. Si votre activité supporte quatre heures d'arrêt sans conséquence, une franchise de quatre heures n'a pas d'intérêt et coûte cher. Si elle ne supporte rien au-delà d'une demi-journée, une franchise de vingt-quatre heures rend la garantie théorique.
Le résultat se mesure avant de signer : demandez par écrit ce qui aurait été versé sur un scénario d'arrêt de huit heures, puis de trois jours, avec vos propres chiffres. Deux contrats affichant la même garantie donnent alors deux réponses différentes, et la comparaison devient enfin possible.
Plainte sous 72 heures : la condition vaut pour toute l’indemnisation
L'article L12-10-1 du code des assurances, issu de la loi n° 2023-22 du 24 janvier 2023 et en vigueur depuis le 24 avril 2023, subordonne le versement d'une somme au titre des pertes et dommages causés par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte par la victime, au plus tard 72 heures après la connaissance de l'atteinte.
Trois précisions changent la lecture courante. La condition ne vise pas la seule rançon : elle porte sur l'indemnisation des pertes et dommages causés par les infractions des articles 323-1 à 323-3-1 du code pénal. Elle s'applique aux personnes morales et aux personnes physiques agissant dans le cadre de leur activité professionnelle, pas au particulier dans sa vie privée. Enfin le délai court depuis la connaissance de l'atteinte, pas depuis l'attaque elle-même, ce qui n'est pas la même date lorsqu'une intrusion est restée silencieuse plusieurs semaines.
Conséquence pratique : le dépôt de plainte n'est pas une formalité que l'on repousse à la semaine suivante. Il entre dans la procédure de crise, au même titre que l'appel à la cellule d'assistance.
Sur la rançon elle-même, notre avis est qu'elle occupe une place disproportionnée dans les discussions. Ce qui coûte à une petite structure, ce sont l'arrêt de l'activité, la reconstruction des systèmes, la reconstitution des données et le temps passé. Un contrat jugé sur sa seule clause rançon est un contrat mal jugé.
Les obligations qui ne dépendent pas de votre assureur
Certaines démarches s'imposent à vous et non à l'assureur, et leur non-respect crée un risque distinct de celui de l'attaque.
Lorsqu'un incident entraîne une violation de données à caractère personnel, le règlement général sur la protection des données impose une notification à l'autorité de contrôle dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. En cas de risque élevé, les personnes concernées doivent également être informées.
Le dépôt de plainte, ensuite, qui conditionne toute indemnisation au titre du contrat cyber, dans les conditions décrites plus haut.
La documentation enfin : dates, heures, actions menées, échanges avec les prestataires. C'est cette chronologie que l'expert de l'assureur demandera, et c'est elle qui manque presque toujours. Un carnet de bord tenu en direct, même sommaire, vaut mieux qu'une reconstitution de mémoire trois semaines plus tard.
Un bon contrat prend en charge les frais liés à ces obligations. Vérifiez que la ligne existe et qu'elle n'est pas noyée dans un plafond global.
Les exclusions à repérer avant de signer
Quatre familles reviennent, et leur rédaction varie beaucoup d'un contrat à l'autre.
Les faits antérieurs : un incident connu ou une vulnérabilité déjà signalée avant la souscription échappe en général à la garantie.
Les défauts de maintenance : l'exploitation d'une faille dont le correctif était disponible de longue date peut être écartée, ce qui renvoie directement au questionnaire de souscription.
Les conséquences d'un conflit armé, avec des clauses particulières lorsqu'une attaque est attribuée à un État. La rédaction de ces clauses a beaucoup bougé et mérite une lecture attentive, notamment sur la charge de la preuve de l'attribution.
Les amendes et sanctions administratives, dont l'assurabilité dépend de leur nature et du droit applicable. Ne présumez pas qu'une sanction prononcée par une autorité de contrôle sera prise en charge.
Avant d'ajouter un contrat, regardez ceux que vous payez déjà. Trois zones grises reviennent, et elles produisent autant de litiges que les attaques elles-mêmes.
La multirisque professionnelle couvre les biens matériels : un serveur détruit par un incendie relève d'elle. Un serveur intact dont les données sont chiffrées ne relève pas de la même logique, puisqu'il n'y a pas de dommage matériel au sens classique. C'est précisément la frontière que le contrat cyber vient combler.
La responsabilité civile professionnelle couvre les conséquences d'une prestation défectueuse. Si l'incident vous empêche de livrer et que votre client subit un préjudice, la question de savoir lequel des deux contrats intervient dépend de leur rédaction respective. Faites poser la question aux deux assureurs, par écrit, avant l'incident.
La fraude au virement, dite fraude au président ou au faux fournisseur, se situe entre les deux mondes. Elle relève parfois d'une garantie fraude distincte, parfois d'une extension du contrat cyber, parfois de rien. Nous ne disposons d'aucune statistique publique française qui en fixe la fréquence pour les petites structures, et nous n'en avancerons donc aucune : ce qui se vérifie, en revanche, c'est la ligne de votre contrat.
votre niveau réel de maturité en sécurité, qui sera vérifié après le sinistre
la dépendance à un prestataire informatique unique, et ce que son propre contrat prévoit
l'articulation avec votre responsabilité civile professionnelle, source fréquente de zones grises
la solidité financière des compagnies, qui relève du contrôle de l'ACPR
le prix que vous paierez, qui se construit sur votre dossier et non sur une moyenne
Questions fréquentes
Quelle est la meilleure assurance cyber pour une entreprise ?
Celle dont vous pouvez tenir les déclarations de sécurité, dont la cellule de crise s'engage sur un délai d'intervention et dont la franchise en heures correspond à ce que votre activité supporte réellement. Aucun nom ne répond à cette question à votre place : le même contrat convient à un cabinet de conseil et pas à un commerce dont la caisse est le point vital.
Une petite structure a-t-elle besoin d’un contrat cyber ?
Le besoin porte surtout sur l'assistance et la remise en route, deux postes qu'une entreprise de quelques salariés ne peut pas absorber seule. Si vos sauvegardes ne sont pas testées, commencez par là : le contrat viendra ensuite, et vous pourrez alors remplir le questionnaire sans risque.
Le paiement d’une rançon est-il couvert ?
Cela dépend du contrat, et la question n'est pas la plus importante. Pour un professionnel, toute indemnisation des pertes causées par une cyberattaque suppose une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1 du code des assurances). Cette condition ne vise pas la seule rançon.
Que faire dans les premières heures d’une attaque ?
Appeler la cellule de crise prévue au contrat, isoler ce qui peut l'être sans détruire de traces, déposer plainte dans le délai de 72 heures, notifier l'autorité de contrôle si des données personnelles sont concernées, et tenir une chronologie écrite des actions et des échanges. Cette chronologie sera demandée.
La multirisque professionnelle couvre-t-elle une cyberattaque ?
Elle couvre les dommages matériels, donc un serveur détruit. Des données chiffrées sur un matériel intact ne constituent pas un dommage matériel au sens classique, et relèvent d'un contrat cyber ou d'une extension expresse. Vérifiez la rédaction de votre contrat avant de conclure dans un sens ou dans l'autre.
Comment cette page est-elle construite, et qui la finance ?
La pondération et les critères sont publiés au-dessus des résultats, et ils changent d'un produit à l'autre. Sur le risque cyber, aucune compagnie suivie ne déclare le produit : la page classe donc des vérifications, pas des marques, et l'ordre des compagnies affichées est un choix de présentation de la rédaction. Ces engagements sont ceux de l'éditeur du site, Alliance Finance ; ils ne sont pas vérifiables par une source extérieure, et nous préférons l'écrire.
Pour continuer sur ce produit : le guide assurance cyber détaille les clauses qui décident de l'indemnisation,
et la page produit présente les formules disponibles.
Les autres palmarès sont regroupés sur la page des classements.
Le meilleur classement, c'est le vôtre
Un palmarès fait passer de quarante noms à cinq. Le devis, sur vos données, désigne le contrat.
